| Informe | 2021-0045 |
| Enlace | 📋 |
**Resumen del Informe Jurídico de la AEPD sobre el Proyecto de Real Decreto de Productos Sanitarios (Expediente 2021-0045)**
El informe jurídico de la Agencia Española de Protección de Datos (AEPD) analiza el Proyecto de Real Decreto que regula los productos sanitarios, derivado del **Reglamento (UE) 2017/745** (MDR). Dicho Reglamento, de aplicación directa en la UE, exige desarrollos normativos nacionales en aspectos como la autoridad competente, garantías sanitarias o el régimen lingüístico. La AEPD destaca **la aplicación del RGPD** en los tratamientos de datos personales derivados de este marco normativo, ya que el MDR alude a la **Directiva 95/46/CE** (derogada por el RGPD) y exige a los Estados miembro seguir sus principios.
### **Puntos clave del informe:**
1. **Tratamiento de datos de salud y base legal:**
– El MDR y el Proyecto de Real Decreto contemplan tratamientos de datos sanitarios (ej.: historia clínica, registros de implantes). La AEPD recuerda que dichos tratamientos deben cumplir con el **RGPD**, especialmente el **artículo 9** (datos sensibles) y la **LOPDGDD (Disposición Adicional 17ª)**, que remite a leyes sectoriales como la **Ley General de Sanidad**.
– El **Supervisor Europeo de Protección de Datos (SEPD)** ya advirtió en 2013 (y reiterado en el informe de la AEPD) que el concepto de *»necesidad»* en el tratamiento de datos debe interpretarse de forma estricta, alejada de la mera utilidad.
2. **Cuestiones críticas identificadas:**
– **Artículo 5.4:** Se valora positivamente que se incluya en la historia clínica información sobre productos implantables para que el paciente conozca su identificación, garantizando así la transparencia y el derecho de acceso (al amparo del **artículo 15 RGPD**).
– **Artículo 8.2 y 23.4:** Se plantea la **ambigüedad** sobre si los sistemas de archivo documentales incluyen datos personales. La AEPD recomienda añadir **un plazo máximo de conservación** para datos personales (no solo mínimo), alineado con el **principio de limitación del almacenamiento** (artículo 5.1.e RGPD). Se sugiere clarificar si los datos son personales o no.
– **Artículo 36.2 (Registro Nacional de Implantes):** Se introduce una obligación adicional a la del MDR al exigir centros sanitarios comunicar datos de pacientes a un registro nacional. La AEPD advierte que este tratamiento de datos de salud **requiere una habilitación legal específica** para garantizar la seguridad jurídica. Cita jurisprudencia del **Tribunal Constitucional (STC 76/2019)** y del **TJUE (asuntos C-511/18, C-623/17)** que exigen que las limitaciones a derechos fundamentales (como la protección de datos) estén **detalladas en una ley formal** (no en un reglamento), delimitando claramente su alcance.
– **Investigaciones clínicas (artículo 72 MDR):** Se recuerda la obligación de implementar medidas técnicas y organizativas para proteger datos personales durante ensayos clínicos. La AEPD sugiere extender estos requisitos a toda la documentación relacionada (ej.: manuales de investigación), incluyendo contenidos en castellano.
3. **Recomendaciones finales:**
– **Transparencia y proporción:** Asegurar que los tratamientos de datos sean **proporcionales** y que los plazos de conservación sean justificados. Se insiste en evitar almacenamientos perpetuos de datos sanitarios.
– **Seguridad jurídica:** Para el **Registro Nacional de Implantes**, se recomienda recoger su regulación esencial en una **ley formal** (no solo en un real decreto), cumpliendo con la reserva de ley que exige el **artículo 52.1 de la Carta de Derechos Fundamentales de la UE** y la jurisprudencia del **TJUE**.
– **Adaptación al RGPD:** Aunque el MDR aluda a normativa derogada (Directiva 95/46/CE), los Estados miembros deben aplicar directamente el **RGPD.2016/679**, avalado por sentencias como **Facebook Ireland y Schrems (C-311/18)**.
En conclusión, la AEPD **aprueba parcialmente